Tilħaq workstation wara NAT mingħajr ma tibgħat il-port il-quddiem

Żewġ endpoints wara n-NAT tal-fornitur u router tal-uffiċċju magħluq ma jħallu l-ebda port tad-dħul biex jintbagħat il-quddiem, u r-rifless huwa li nitolbu wieħed xorta waħda. L-aħjar mistoqsija hi liema naħa tista ċċempel il-barra u liema servizz aċċessibbli huwa permess iġorr it-traffiku. Erba disinni jwieġbu dak il-mistoqsija b’mod differenti, u jonqsu b’modi differenti meta rotta tiġi mblukkata. L-għażla bejniethom hija tqabbil ta garanziji, mhux ta ismijiet ta protokolli.

Erba disinni, erba wegħdiet differenti

It-tabella ta hawn taħt hija l-verżjoni qasira. Aqra l-kolonna tan-nofs bħala l-wegħda li tista tittestja, u l-kolonna tal-lemin bħala l-wegħda li ħadd ma għamel.

Liema ringiela tapplika jiddependi fuq ix-xogħol u mhux fuq il-preferenza. Sessjoni waħda ta desktop mill-bogħod, qoxra amministrattiva waħda u aċċess għas-subnet privat kollu huma tliet rekwiżiti li m’għandhomx bżonn l-istess punt tad-dħul, anki meta jkunu jikkonċernaw l-istess magna b’kumbinazzjoni.

Hub ibiddel min iċempel il-barra, mhux x’inhu permess

Fi disinn ta hub bir-rotta, il-laptop mill-bogħod u l-workstation, jew il-gateway tas-sit quddiemha, kull wieħed jiftaħ tunnel ħiereġ lejn servizz li t-tnejn jistgħu jilħqu. Xejn ma jaċċetta konnessjoni mhux mitluba fuq ir-router tal-workstation, u għalhekk dan id-disinn jgħaddi min-NAT u jaħdem ukoll meta s-sit m’għandux indirizz statiku. Imbagħad il-hub iddawwar it-traffiku bejn iż-żewġ indirizzi interni skont il-politika tiegħu stess.

L-ispiża hija li l-hub irid jeżisti, ikun aċċessibbli miż-żewġ naħat u xi ħadd irid imexxih. Il-filtrazzjoni ħierġa trid tippermetti t-trasport, u netwerk li jimblukkaha se jġarraf id-disinn anki jekk ma kienx meħtieġ tibgħit tal-port.

Il-parti delikata hija li l-aċċessibilità u l-awtorizzazzjoni huma deċiżjonijiet separati meħuda f’postijiet differenti. Rotta lejn prefiss ma tgħid xejn dwar liema servizz fuq il-workstation l-identità tista tuża, u regola tal-firewall li tippermetti t-tunnel ma tgħid xejn dwar jekk il-kont jistax jidħol. Ikkonfigura t-tnejn, ittestja t-tnejn, u żżomm id-deċiżjoni tal-awtorizzazzjoni mas-sistema li tippossjedi r-riżors u mhux mat-tabella tar-rotot.

It-traversata taħdem biss meta ż-żewġ stacks jimplimentawha

It-traversata bejn il-pari hija kapaċità ta sistema speċifika, mhux setting li jtejjeb il-VPN. Interactive Connectivity Establishment jiġbor diversi indirizzi kandidati u jittestja pari sakemm wieħed jaħdem: kandidati tal-host fuq interfaces lokali, kandidati riflessi tas-server mibnija minn dak li jiżvela NAT, u kandidati relayed allokati fuq relay. Indirizz privat waħdu mhuwiex rotta, għax in-naħa l-oħra ma tistax iddawwar lejh.

Il-każ tar-relay jistħoqqlu jinftiehem qabel ma jiġi skartat. RFC 8656 jiddeskrivi TURN bħala protokoll fejn klijent jitlob indirizz tat-trasport relayed mingħand server u s-server jgħaddi t-traffiku bejn dak il-klijent u l-pari tiegħu. Għalhekk ir-relay iġorr id-data, li huwa differenti sostanzjalment minn direttorju li biss jgħin lill-endpoints jiltaqgħu. L-iskambju tal-indirizz tar-relay man-naħa l-oħra huwa pass ta koordinazzjoni li l-applikazzjoni trid tagħmel.

Dak li ma tistax twiegħed huwa rotta diretta. NAT simetrika u xi firewalls tal-intrapriża jegħlbu t-tħammir tal-toqob, u meta jagħmlu dan is-sistema jew tmur lura għal relay jew tfalli. Lanqas ma tista tikkonkludi li żewġ endpoints tradotti qatt ma jistgħu jitkellmu; stack appoġġjat b’riżerva ta relay jeżisti preċiżament għax spiss jistgħu. Iddeċiedi jekk timportax iktar id-disponibilità jew id-direttizza, imbagħad ivverifika liema rotta għażlet fil-fatt id-deployment minflok tassumi l-każ favorevoli.

Broker huwa idjaq minn network

Meta r-rekwiżit huwa applikazzjoni waħda, broker ta applikazzjonijiet jew konnessjoni inversa mibdija mill-workstation jistgħu jkunu l-iżgħar tweġiba. Il-workstation iċċempel il-barra lejn broker, il-broker jawtentika l-utent mill-bogħod, u tinġarr biss dik is-sessjoni tal-applikazzjoni. L-ebda rotta lejn is-subnet tal-workstation ma tinħoloq, għalhekk kompromess tas-sessjoni mill-bogħod ma jirtix rotta lejn kull apparat ħdejha.

Din id-dejqa għandha prezz: kull applikazzjoni addizzjonali teħtieġ l-integrazzjoni tagħha, u kull ma l-applikazzjoni tassumi dwar network lokali, bħal kondiviżjoni ta fajls li tiftaħ fuq server fil-qrib, jista ma jkunx aċċessibbli. Il-brokers ukoll jikkonċentraw politika u reġistrazzjoni f’post wieħed, li huwa utli sakemm dak il-post isir it-tfixkil.

Qabbel il-fruntieri tal-fiduċja, imbagħad ittestja r-rotta

Hub li jtemm it-tunnels jista jaqra t-traffiku li jdawwar. Relay jista jġorr skambju protett b’mod indipendenti meta l-applikazzjoni tkun qed tikkripta mit-tarf sat-tarf, u broker normalment itemm is-sessjoni li tippreżenta. Stabbilixxi fejn il-protezzjoni tispiċċa fil-fatt qabel ma tiddeċiedi li żewġ disinni huma ekwivalenti għax it-tnejn huma kriptati.

Imbagħad iċċekkja x’jilħaq il-workstation il-barra fil-fatt, għax kull disinn hawn fuq jiddependi minn dak. Esegwi dan fuq il-workstation, u biddel l-isem tal-host li bi ħsiebek tuża.

ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.com

Aċċetta d-disinn biss wara li l-operazzjoni mill-bogħod maħsuba tirnexxi taħt l-identità permessa, identità mhux approvata tiġi rrifjutata, u l-imġiba meta r-rotta diretta jew relayed ma tkunx disponibbli tkun magħrufa u dokumentata. Inkludi rikonnessjoni u l-kuntest normali tal-bidu tal-workstation, għax sessjoni li bdiet fl-uffiċċju fuq il-LAN ma tittestja xejn li jiddependi minnu l-aċċess mill-bogħod.